自称白帽，干的却是黑帽的活儿，完事还要收 10% 的辛苦费。

9 月 6 日那天，比特币侧链 Liquid 用的 Elements 软件爆出一个漏洞：有人凭空铸造了无效的 LBTC，转头就从联邦储备金库里提走了近 4000 枚真 BTC，按当时币价值约 3.2 亿美元（TradingView 引 The Defiant 口径）。金库一夜之间从 4205 枚干到只剩 197 枚，基本被搬空。

第二天，3400 枚回来了。动手的人说自己是白帽：大头还你，剩下 598.5 枚算我的赏金，10%，童叟无欺。

Blockstream 的回复也很硬：赏金？没有。剩下的，立刻还回来。

于是事情就僵在这儿了。今天 10 月 12 日，LBTC 换回真 BTC 的赎回通道已经冻结了 35 天（Odaily 10-11 报道），整个协议的储备覆盖率卡在 86%：你手里每 100 块，就有 14 块对不上账。官方说 Elements v23.3.4 的独立安全审计正在做，赎回密钥全进了冷存储，PAK 名单也更新了。什么时候能赎回？没有日期。

被锁住的用户只能自己想办法。据 Bitcoin.com 的报道（Odaily 转引），有人走 Sideswap、Sideshift 这类应用自己搬砖绕出来，花了好几周，点差加手续费一共亏了约 5%。还有一位 Blockstream 的老支持者在 X 上直接开喷，说沟通稀稀拉拉，35 天了连个恢复时间表都没有（Bitcoin.com 报道引述）。

你看这事荒诞在哪儿：攻击者一边说自己是好人，一边把 598.5 枚 BTC 攥在手里当谈判筹码，按 10 月 11 日币价值约 4969 万美元（Odaily）。Blockstream 一边喊着要追回，一边让用户无限期等着。而大盘呢？$BTC 照样站在 8.4 万一带（CoinDesk 10-12），好像这事跟币价半毛钱关系都没有。

所以这事跟你有什么关系？关系就是：侧链、L2，一切"帮你保管 BTC"的中间层，承诺的 1:1 兑付都建立在"代码不出 bug"这个假设上。代码一出事，赎回键说没就没，35 天起步。

私钥在自己手里，才叫持有；在别人金库里，那叫借条。借条这东西，平时看着跟钱一样，挤兑的时候才知道不一样。